Wi-Fi-klientisolering kontra lokal VPN-tilgang: hva som blokkerer deg

Sett to telefoner på samme gjeste-SSID, og ingen av dem ser den andre, men begge når internett. Legg til en VPN-klient på én av dem, og skriveren tre meter unna forblir usynlig mens en server på et annet kontinent svarer på ping. Ingenting er ødelagt i tunnelen; det er to separate tilgangsbeslutninger involvert, og bare én av dem handler om ruting. Aksesspunktet avgjør om trådløse klienter kan snakke sammen, og VPN-klienten avgjør hvilke destinasjoner som forlater tunnelen. Å forveksle de to gir timer med formålsløse konfigurasjonsendringer.

De to portene er uavhengige

Klientisolering er en svitsjebeslutning. Aksesspunktet mottar en ramme fra én tilknyttet stasjon, ser på destinasjonen, legger merke til at destinasjonen er en annen stasjon på samme bro, og slipper den. Stasjonens IP-adresse er irrelevant for den beslutningen, og det er VPN-en også.

Ruting er en annen beslutning, tatt på klienten. VPN-ens rutetabell avgjør om en pakke til 192.168.1.50 går inn i tunnelen eller forlater via Wi-Fi-grensesnittet. Hvis pakken forlater via Wi-Fi og aksesspunktet isolerer klienter, dør den ved aksesspunktet. Hvis pakken går inn i tunnelen, ser aksesspunktet aldri den opprinnelige destinasjonen og kan ikke isolere noe.

Hva isolering blokkerer på et typisk aksesspunkt

Leverandører sender dette under flere navn: klientisolering, AP-isolering, stasjonsisolering eller et gjestenettverk som antyder det. I OpenWrt er alternativet per grensesnitt isolate inne i den trådløse konfigurasjonen, som beskrevet i den trådløse dokumentasjonen, og et gjeste-SSID får vanligvis sin egen bro og brannmurssone. Effekten er at unicast-rammer mellom klienter ikke broes, så en ping, en SMB-tilkobling eller en utskriftsjobb til en nabo feiler selv om begge enhetene viser fullt signal.

Oppdagelsesprotokoller lider først og mest synlig. mDNS for skrivere og medieenheter går med multicast til 224.0.0.251, SSDP bruker 239.255.255.250, og om disse rammene krysser broen avhenger av leverandøren og av om multicast-til-unicast-konvertering er slått på. En enhet som mangler på en liste er svakere bevis enn en mislykket direkte tilkobling til en kjent adresse.

Hva VPN-en endrer, og hva den ikke kan endre

En full tunnel overtar standardruten, så lokale subnett nås bare hvis klienten beholder en mer spesifikk rute for dem. Splittunneler gjør det motsatte og bevarer lokal tilgang ved design. Ingen av innstillingene kan få et isolerende aksesspunkt til å videresende en ramme mellom to av klientene sine, derfor er det nødvendig, men ikke tilstrekkelig, å tillate lokal trafikk i VPN-klienten.

Det motsatte tilfellet er like vanlig. Aksesspunktet tillater peer-trafikk, VPN-klienten utelukker det lokale subnettet fra tunnelen, og skriveren svarer fortsatt ikke fordi vertens brannmur behandler Wi-Fi-nettverket som offentlig. Tre lag, tre forskjellige standardverdier, og bare ruten er synlig i de fleste VPN-logger.

Finn ut hvilken port som er lukket

Start med en test som fjerner VPN-en fra bildet: koble to vanlige enheter til samme SSID og prøv å nå den ene fra den andre via adresse. Hvis det feiler, isolerer aksesspunktet, og ingen VPN-innstilling vil rette det. Hvis det lykkes, gå til klienten og kjør ip route get 192.168.1.50 på Linux eller Find-NetRoute -RemoteIPAddress 192.168.1.50 på Windows; utdata navngir grensesnittet pakken vil bruke.

Når ruten peker på Wi-Fi-grensesnittet, forlater pakken ukryptert, og spørsmålet blir om aksesspunktet og vertens brannmur tillater det. Når ruten peker på tunnelen, sendes destinasjonen til VPN-serveren, noe som er feil for en enhet på samme LAN og vanligvis betyr at tunnelens tillatte liste er for bred.

En direkte tilkobling til skriverens port er en bedre test enn en oppdagelsesliste. nc -vz 192.168.1.50 9100 på Linux eller Test-NetConnection 192.168.1.50 -Port 9100 i PowerShell forteller deg om adressen i det hele tatt kan nås, før noen paring på applikasjonsnivå kommer inn i diskusjonen.

Velg løsningen for nettverket du er på

På et hotell- eller gjestenettverk er isolering bevisst, og du bør ikke prøve å omgå den. Behandle den lokale enheten som utilgjengelig, bruk VPN-en til å nå en vert som kan skrive ut eller dele, og slutt å behandle SSID-en som et LAN.

Hjemme er det rimelig å slå av isolering på hoved-SSID-en når enhetene er dine, mens gjeste-SSID-en forblir isolert. Innstillingen bor i aksesspunktets trådløse konfigurasjon, og den hører hjemme der, ikke i brannmursunntak på hver klient.

På et kontor bør du anta at aksesspunktet, VLAN-et og vertens brannmur alle er bevisste. Eskaler med testresultatene i stedet for å be om at isoleringen slås av, fordi et nettverk som skiller klienter vanligvis beskytter noe.

Verifiser applikasjonen, ikke bare ping

En vellykket ping beviser veien, ikke tjenesten. Skrivere godtar ofte rå 9100 eller IPP på 631, men avviser oppdagelse, og en filshare krever 445 pluss fungerende navneoppslag. Bekreft porten applikasjonen bruker, og prøv deretter den faktiske oppgaven på enheten igjen.

Hold de to lagene atskilt i notatene dine: hva Wi-Fi-nettverket tillater, og hva VPN-en ruter. Neste gang en enhet forsvinner fra en liste, forteller den oppdelingen deg hvor du skal se først.